CVE-2024-11400: podatność XSS w wtyczce WooCommerce Products Filter

Co wiadomo

Wtyczka HUSKY – Products Filter Professional dla WooCommerce w wersjach do 1.3.6.3 włącznie jest podatna na reflektowane ataki Cross-Site Scripting (XSS) przez parametr really_curr_tax. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy właścicieli sklepów internetowych korzystających z tej wtyczki, którzy powinni podjąć działania w celu zabezpieczenia swoich systemów.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki u dostawcy i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie ekspozycji podatnego parametru, monitorowanie logów pod kątem podejrzanych aktywności oraz edukację użytkowników w zakresie unikania klikania podejrzanych linków. Priorytetem jest szybka weryfikacja i wdrożenie zabezpieczeń.

Źródła

• NVD
• Reference
• Reference